0netw0m1ra

# EXIF- 촬영 기기의 제조사, 모델명, 촬영 일시, 위치 등 확인 가능 # EXIF 분석방법1. Autopsy 에서 "Picture Analyzer" 모듈 분석이 선택되어 있어야 함 - 만약, 분석 중에 추가하고 싶다면, [Tools]-[Run Ingest Module] 에 들어가서 "Picture Analyzer"를 추가하면 됨2. [Tree Viewer]-[Analysis Results]-[EXIF Metadata] 에서 원하는 파일을 클릭하여 [Content Viewer]-[Analysis Results] 탭에서 확인하면 됨 - 위도(latitude) - 경도(longitude)

# SetupAPILogging 파일 확인C:\Windows\INF\setupapi.dev.log연결됐던 USB 볼륨명, 시리얼넘버, 볼륨 GUID, Product ID, 최초 연결시간, 마지막 연결 해제 시간, 저장매체를 사용한 계정 정보 등 # 레지스트리 확인- USBSTOR (HKEY_LOCAL_MACHINE\SYSTEM\ControlSet00X\Enum\USBSTOR\) : 이미 해당 시스템에서 사용하거나 사용했던 USB 장치 확인 Ven_{제조사명}&Prod_{제품명}&Rev_{버전} \ {Unique Instance ID} - USB (HKEY_LOCAL_MACHINE\SYSTEM\ControlSet00X\Enum\USB) : USBSOTR에서 확인한 USB의 Unique Instace..

# 디지털포렌식 2급 실기 시험에서 USB가 두 개 제공됨1 제출용 USB, 2 증거용 USB/이미징파일이 있는 USB - 증거용 USB일 경우 : 쓰기방지 적용 후 해당 USB를 이미징해야 함 - 이미징된 파일을 그냥 주는 경우 : 그냥 복사하면 # 쓰기방지 적용하기https://0netw0m1ra.tistory.com/340 "regedit" 2. \HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies 키 생성- 해당 "StorageDevicePolicies" 키는 기본적으로는 없음 - 새로 "StorageDevicePolicies" 키 생성하기- 키에 대응되는 값 " data-og-host="0netw0m1r..

# MBR, BR 왜 있나? 운영체제를 실행시키는 역할!EX) 컴퓨터 전원 키고 → BIOS → HDD(MBR로 이동) → MBR 속 파티션이 정해지면 1~4파티션 중에 그 파티션이 있는 섹터로 이동 → 그럼 BR로 가게되고 → 그 안에서 또 실제 윈도우가 위치한 섹터를 찾아서 → 윈도우 파일을 실행시키면 → 우리가 아는 윈도우가 실행됨 # MBR(Master Boot Record)- MBR 사이즈는 512bytes- 부트코드 446bytes- 부트코드 이후부터 64byte 공간을 파티션 테이블이 사용함- 파티션 테이블은 총 4개의 파티션을 기록하고, 1개의 파티션당 각각 16byte 사용함 BootFlag(1byte) : 값 0x80 부팅가능파티션을 의미 Starting HS Addr(3by..

1. [win]+[r] > "regedit" 2. \HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies 키 생성- 해당 "StorageDevicePolicies" 키는 기본적으로는 없음 - 새로 "StorageDevicePolicies" 키 생성하기- 키에 대응되는 값 생성하기(DWORD 32비트 값)- 값 이름은 "WriteProtect"로 만들기- 값 '수정' 눌러서 1로 변경하면, 변경하고 난 후 연결되는 장치(USB)에만 쓰기방지 정책이 적용됨3. USB 내에 무슨 파일이라도 만드려고 하면 "쓰기방지"되어 있어 안된다는 경고 알림 뜸

# MAC TIME- Modified : 파일 내용이 수정된 시간- Accessed : 파일이 열린 시간- Created : 파일이 생성된 시간 # 일반적으로 C → A → M 순으로 시간이 흐르지만, C가 가장늦은 시간에 생성된 파일은 파일을 복사하거나, 압축파일 압축 해제를 한 경우임

# 고사장에서 제공되는 도구 # 시험에서 자주 사용하는 도구- Autopsy 4.21.0 : https://github.com/sleuthkit/autopsy/releases/#release-autopsy-4.21.0- FTK Imager 4.7.1.2 ▶ 기존에 설치해 둔 FTK Imager 4.7.3.81 사용- HxD 2.5.0.0 ▶ 기존에 설치해 둔 버전 사용- REGA 1.5.3 ▶ 기존에 설치해 둔 REGA 1.6.0.0 사용- LNK Parser 1.0 : https://dfrc.korea.ac.kr/infra_dfrc_tools/?bmode=view&idx=14694061 [참고사이트]https://exam.forensickorea.org/web/bbs/view/boardView.do?..

1. Fiddler를 설치2. [Tools]-[Options]-[HTTPS] 에서 "Capture HTTPS CONNECTs"와 "Decrypt HTTPS traffic"을 활성화하기3. 모두 "예" 선택한 후 fiddler를 다시 재시작하면 패킷 확인 가능

1. brew 설치하기https://0netw0m1ra.tistory.com/330 [iOS] VMware brew 설치[환경]- VMware 17- Ubuntu 24.04 [방법]1. 아래와 같이 linux 환경에서 brew를 설치할 수 있음0netw0m1ra.tistory.com 2. ipsw 설치하기sudo apt updatesudo apt install cmake g++ libfuse-dev libfuse3-dev libboost-dev libboost-filesystem-dev -ygit clone https://github.com/sgan81/apfs-fuse.gitcd ~/Desktop/iextractor/apfs-fusegit submodule update --init --recursiv..

[환경]- VMware 17- Ubuntu 24.04 [방법]1. 아래와 같이 linux 환경에서 brew를 설치할 수 있음